GreyNoise: luki w WordPressie, Ubiquiti i Zyxel w kampanii kradzieży tysięcy dokumentów

GreyNoise opisał kampanię chińskojęzycznego napastnika, który co najmniej od czerwca wykorzystuje krytyczne luki w WordPressie, urządzeniach Ubiquiti i przełącznikach Zyxel GS1900. Skradziono tysiące dokumentów, w tym co najmniej jednemu zachodniemu rządowi. Materiał nie podaje informacji o poprawkach.

12 czerwca napastnik próbował wykorzystać łańcuch trzech luk w Ubiquiti, który prowadzi do zdalnego wykonania kodu. 23 czerwca luki te trafiły do katalogu aktywnie wykorzystywanych podatności amerykańskiej agencji CISA. 20 lipca celem stał się łańcuch dwóch luk w WordPressie nazwany wp2shell. Ostatnio atakowane są przełączniki Zyxel GS1900 z użyciem nowego exploita. Badacze podejrzewają, że własne narzędzia napastnik tworzył z pomocą dużego modelu językowego. Motyw poza masowym zbieraniem danych pozostaje nieznany.

Kogo dotyczy

W ataku na WordPressa napastnik uzyskał dostęp do 49 organizacji w 29 krajach, głównie urzędów i małych firm. Wykorzystanie luki potwierdzono w 996 przełącznikach Zyxel GS1900 Smart Managed Switches w 48 krajach. Kampania obejmuje także urządzenia Ubiquiti.